工場IoTの個人情報保護2026｜PDPA認証で問われる境界線

工場IoTの個人情報保護は、これまで「セキュリティ対策の一部」として後回しにされがちでした。しかしタイでは2026年6月、個人データ保護法(PDPA)に認証制度が新設され、2025年8月には8件で約1,450万バーツの制裁金が科されています。スマートウォッチ、出退勤の顔認証端末、AI外観検査カメラ――工場のIoT機器は稼働データだけでなく、作業員の個人データも同時に集めています。本記事では最新の規制動向と、日系工場が今すぐ着手できる具体的な実務対応を整理します。

工場IoTが集めているのは「稼働データ」だけではない

工場のIoT化は、設備の稼働率や品質データを可視化する目的で進みます。しかし同じセンサーやカメラが、意図せず作業員個人の情報も収集している場合があります。代表的な4つの接点は次のとおりです。

これらは単体では「稼働データ」に見えても、個人を特定できる情報(氏名・従業員ID・顔画像)と結びついた瞬間に個人データとなり、PDPAの適用対象になります。とくに顔認証やウェアラブル端末の生体反応データは、タイのPDPAで「機微情報(センシティブデータ)」に分類され、原則として本人の明示的な同意が必要です。出退勤管理の効率化を目的にウェアラブル端末や顔認証を導入する工場は増えており、スマートウォッチの工場活用やAI外観検査の導入を検討する段階で、個人データの扱いを設計に組み込んでおく必要があります。

見落とされがちなのは、「稼働監視のためのデータ」と「個人情報としてのデータ」が、同じセンサー・同じログファイルに混在している点です。設備担当者が稼働率のダッシュボードを設計するとき、そこに作業員IDが紐づいていれば、それはすでにPDPAの対象になっています。IT部門とは別に、誰が・どの目的で・どこまでのデータにアクセスできるかを設計段階で切り分けておかないと、後から個人データだけを分離するのは技術的にもコスト的にも困難です。多くの工場では、この切り分けを「システムが稼働してから」検討し始めるため、既存のログ設計をやり直す二度手間が発生しています。

タイPDPAは2026年、「知らせるだけ」から「証明させる」段階に変わった

タイの個人データ保護法(PDPA)は2019年に公布され、2022年6月に猶予期間が明け本格施行されました。施行から2024年頃までは、当局の対応も注意喚起や是正指導が中心で、「まず周知する」段階にありました。しかし2025年から2026年にかけて、運用の重心が「周知・啓発」から「立証・認証」へと明確に移っています。

2026年6月18日、認証制度が施行された

タイの個人データ保護委員会事務局(PDPC)は2026年6月18日、官報にPDPA認証に関する2つの告示(2026年2月27日付)を掲載し、同日付けで施行しました。この告示により、タイで初めてPDPAの遵守状況を第三者が評価する公式な認証制度が生まれています。評価は4つのカテゴリ・10の重点分野・128項目の評価基準で構成され、組織のプライバシーガバナンスの成熟度を測ります。

認証には2つの水準があります。

認証は任意制度で、有効期間は3年です。政府機関・民間企業のどちらも申請できますが、取得には自社のプライバシー管理体制がすでに一定水準に達している必要があります。工場のIoT機器が集める個人データの管理体制も、当然この評価対象に含まれます。128項目という評価基準の細かさは、裏を返せば「同意取得の記録があるか」「委託先との契約書に何が明記されているか」といった実務の積み上げそのものが審査対象であることを意味します。

2025年8月、8件・約1,450万バーツの摘発が示したもの

制度面の変化と並行して、PDPCの摘発姿勢も強まっています。2025年8月に公表された行政処分では、5つの事案・8件の罰金が科され、合計は約1,450万バーツにのぼりました。これによりPDPA施行後の制裁金の累計は2,000万バーツを超えています。

とくに注目すべきは玩具小売業者の事案です。小売業者自身は被害後すみやかに対象者へ補償を行ったにもかかわらず、委託先(データ処理業者)の管理不備を理由に、委託元・委託先の双方が処罰されています。これは「自社が直接扱っていないデータでも、委託先の管理不備は自社の責任として問われる」ことを示す実例です。工場のIoTシステムでも、クラウド型の勤怠管理サービスやウェアラブル端末のベンダーにデータ処理を委託しているケースは多く、他人事では済みません。8件のうち製造業・小売業を含む民間企業への罰金が過半を占めており、摘発は特定業種に限定されていません。

生体データは「機微情報」――同意なしでは扱えない

タイPDPAでは、顔認証データや指紋、心拍などの生体データは「機微情報(センシティブパーソナルデータ)」に区分され、通常の個人データより厳しい取り扱いが求められます。原則として本人の明示的な同意(オプトイン)が必要で、法律上の限定的な例外事由に該当しない限り、同意なしでの収集・利用はPDPA違反となります。出退勤管理に顔認証を導入する際、多くの工場が「効率化」だけを理由に本人同意のプロセスを省略しがちですが、これは摘発リスクの高い運用です。監視カメラやAI外観検査カメラについても、映像に作業員の顔が映り込む設計であれば同様の整理が必要になります。

工場IoTのデータを4層に分けて考える

規制対応を後回しにしないためには、工場が扱うデータを一括りにせず、性質ごとに分類してアクセス権限を設計することが有効です。実務では次の4層で整理すると、どこにPDPAの対応が必要かが明確になります。

このように層を分けると、「稼働率ダッシュボードは第2層だから全社公開でよいが、個人別の出退勤ログは第3層なので人事部門のみアクセス可」というように、システム設計の初期段階で権限を切り分けられます。多くの工場でPDPA対応が後手に回る理由は、この4層が最初から混在したデータベース設計になっているためです。IoT機器を新規導入する際は、ベンダーへの要件定義書にこの層分けを明記しておくことで、後からの手戻りを防げます。

たとえば予知保全のために振動センサーと作業員の点検記録を組み合わせて分析するシステムを考えると、振動データそのものは第2層(個人非紐付け)ですが、「誰が点検したか」という記録が付与された瞬間に第3層(個人データ)に変わります。同じデータベースの中にこの2つの層が混在していると、稼働データを分析部門全体に公開する際に、意図せず個人データまで一緒に公開してしまう事故が起きやすくなります。層ごとにテーブルを分離する、あるいは同一テーブルでも個人紐付けカラムへのアクセス権限を別設定にするといった、比較的小さな設計変更で防げるリスクです。

工場IoTのPDPA対応、外せない3つの実務ライン

規制の全体像と4層のデータ分類を踏まえたうえで、工場のIoT担当者・DX推進担当者が実務として押さえるべき論点は、大きく3つのラインに整理できます。

ライン1: 収集目的の限定(スコープ設計)

「あると便利だから」という理由でIoT機器の全データを保存し続けるのは、PDPAが求める目的限定の原則に反します。スマートウォッチであれば「安全確認(転倒検知等)」、出退勤端末であれば「勤怠管理」など、収集目的を明確に定義し、その目的に不要なデータ(たとえば常時の位置追跡ログ)は収集しない、または短期間で自動削除する設計が求められます。目的が曖昧なまま「将来使うかもしれない」で収集範囲を広げることは、認証審査でも減点対象になります。保存期間についても、勤怠データを何年保存するか、映像データを何日で自動削除するかを社内規程として明文化している工場はまだ少なく、着手の余地が大きい領域です。

ライン2: 同意取得の設計(オプトインと通知)

顔認証・生体データを扱う場合、同意取得は「入社時に一括で署名させる」だけでは不十分になりつつあります。何のためにどのデータを、どの範囲の担当者が閲覧でき、どの程度保存するかを、作業員が理解できる言語(タイ語)で明示し、同意を撤回できる手段も用意する必要があります。多言語の現場では、同意文書がタイ語で作成されていない、または現場の理解度に合わない専門用語で書かれているケースも散見されます。同意プロセスの設計は、法務担当者だけでなく、実際に現場でIoT機器を運用するエンジニアリング部門との共同作業が欠かせません。同意を撤回した従業員に対して、顔認証以外の代替手段(ICカード等)を用意しておくことも、実務上のポイントです。

ライン3: 委託先・ベンダーガバナンス(処理者管理)

先述の玩具小売業者の事案が示すとおり、クラウド型の勤怠管理サービスやウェアラブル端末のベンダーなど、外部に個人データの処理を委託している場合、委託先の管理体制の不備は委託元の責任にもなります。契約段階でデータ処理契約(DPA)を締結し、委託先のセキュリティ体制を定期的に確認する仕組みが必要です。工場のOTセキュリティ対策とあわせて、OTセキュリティの実務ガイドで扱っているベンダー管理の考え方も、個人データ保護の文脈でそのまま応用できます。監査への対応記録を電子化しておくことも、認証審査や事故発生時の説明責任を果たすうえで有効です。詳しくは監査対応の記録電子化を参照してください。

映像データを扱う場合の技術的な打ち手

AI外観検査カメラや監視カメラのように、作業員の顔が映り込む可能性がある映像データについては、規程の整備だけでなく技術面での対応も有効です。代表的な打ち手は次の3つです。

• 顔部分のマスキング・ぼかし処理: 検査対象(製品)だけを解析し、映り込んだ人物の顔を自動でぼかしてから保存する。多くのAI外観検査システムは検査対象領域(ROI)を限定できるため、人物が映り込むエリアをあらかじめ解析範囲外に設定する運用も可能です
• エッジ処理による生データの非保存: カメラが撮影した映像をそのままクラウドに送らず、工場内のエッジ端末で解析だけを完了させ、判定結果(良品/不良品)のみを上位システムに送る設計にすれば、顔が映った生映像そのものを長期保存せずに済みます
• 保存期間の自動失効: 映像データにあらかじめ保存期限(たとえば7日・30日)を設定し、期限を過ぎたデータは自動削除する仕組みをカメラ側またはNVR(録画装置)側で設定する

これらはいずれも大規模なシステム改修を伴わず、既存のAI外観検査システムやカメラの設定変更、または軽微なソフトウェア追加で対応できることが多い点が特徴です。新規にAI外観検査カメラを導入する場合は、選定の初期段階でベンダーにROI限定機能やエッジ処理対応の有無を確認しておくと、後からの追加対応が不要になります。

着手の順序――90日で整えられる実務ロードマップ

認証取得のような大きな投資判断の前に、まず自社の現状を把握し、基礎的な体制を整えることが優先です。認証制度はあくまで「すでにある管理体制を第三者が評価し証明する」仕組みであり、体制そのものを作ってくれるわけではありません。棚卸しや規程整備を先に済ませておけば、将来的に認証を検討する際にも、審査に必要な資料の多くを流用できます。90日を目安にした進め方は次のとおりです。

• Day 0〜30(棚卸し): 工場内のIoT機器・カメラ・ウェアラブル端末が収集しているデータを洗い出す。何を・誰から・何のために集めているかを一覧化し、先述の4層モデルに当てはめる
• Day 31〜60(同意・規程整備): 顔認証・生体データを扱う機器について、同意取得プロセスの有無を確認し、未整備であればタイ語での同意文書と撤回手段を用意する。データ保存期間の社内規程を定める
• Day 61〜90(ベンダー管理): ウェアラブル端末・勤怠管理サービスのベンダーとのデータ処理契約(DPA)の有無を確認し、未締結であれば契約を締結する。あわせて個人データへのアクセス権限が、業務上必要な担当者に限定されているかを点検する

この3段階は、いずれも高額なシステム投資を必要とせず、既存のIoTシステムの運用ルールを見直すことで着手できます。認証取得はその先の選択肢として検討する順序が現実的です。とくに複数拠点で多数の従業員の生体データを扱う企業、または客先監査やグローバル本社への報告が頻繁にある企業にとっては、この棚卸しの結果がそのまま認証申請の準備資料としても活用できます。

認証は取るべきか――任意制度をどう判断するか

PDPA認証は義務ではなく任意の制度です。取得には評価準備・書類整備・審査費用といったコストがかかる一方、取得しない場合も摘発・罰金のリスクは残ります。判断の軸は、自社が扱う個人データの量とリスクの大きさです。

よくある質問

顔認証カメラは同意なしで使えますか

原則として使えません。顔認証データは生体データ(機微情報)に分類され、タイPDPAでは本人の明示的な同意が必要です。法律上の限定的な例外(重大な公共の利益等)に該当しない限り、同意プロセスを省略した導入はPDPA違反のリスクを伴います。

出退勤アプリの位置情報もPDPA対象になりますか

はい。従業員IDや氏名と結びついた位置情報は個人データに該当します。収集目的を勤怠管理に限定し、目的外の常時位置追跡は避けるべきです。

ベンダー(委託先)が原因の漏洩は自社の責任になりますか

なる場合があります。2025年8月の事案では、委託元(小売業者)と委託先(データ処理業者)の双方が罰金を科されました。委託先の管理体制を契約時・運用時に確認する責任は委託元にもあります。

PDPA認証マークは取得すべきですか

取得は任意です。複数拠点で多数の従業員の生体データを扱う、または客先監査やグローバル本社への報告が頻繁にある企業は取得を検討する価値がありますが、まずは同意取得・目的限定・委託先管理という基礎的な体制を整えることが優先です。

既存のIoTシステムを入れ替えずに対応できますか

多くの場合できます。センサーやカメラ本体を入れ替える必要はなく、収集データの保存期間設定、アクセス権限の見直し、同意取得プロセスの追加など、運用ルールの変更で対応できる部分が大半です。ただし顔認証機器のように同意撤回時の代替手段が必要な場合は、既存機器に代替の打刻手段(ICカード等)を併設する検討が必要になることがあります。

90日ロードマップはどの部門が主導すべきですか

工場のIoT運用を担うDX推進部門・生産技術部門が中心となり、法務・人事部門と連携する体制が現実的です。データの技術的な扱い(どのログに何が含まれるか)を把握しているのは現場のエンジニアであり、同意文書や社内規程の文言は法務・人事の知見が必要なため、両者の共同作業として進めることで手戻りを減らせます。日本本社への報告が必要な場合は、本社の情報システム部門やコンプライアンス部門にも早い段階で状況を共有しておくと、後からの説明がスムーズになります。

IoT機器から個人データが漏洩した場合、どのくらいの猶予で報告が必要ですか

タイPDPA第37条(4)により、データ管理者は個人データ漏洩を認識してから72時間以内に、可能な限りPDPCへ報告する義務があります。72時間以内の報告が困難な場合でも、漏洩認識から15日以内に、遅延の正当な理由とともに報告する必要があります。72時間以内の報告義務を怠った場合、最大300万バーツの罰金が科される可能性があります。ウェアラブル端末やクラウド型勤怠管理サービスで漏洩が発生した場合も対象になるため、ベンダーとの契約に「漏洩発生時に何時間以内に自社へ連絡するか」を明記しておくことが、72時間ルールを守るうえで重要になります。

まとめ

工場IoTの導入は、稼働データの可視化だけでなく、作業員の個人データの取り扱いという側面を必ず伴います。タイでは2026年6月にPDPA認証制度が施行され、2025年8月には8件で約1,450万バーツの制裁金が科され、PDPA施行後の累計制裁金は2,000万バーツを超えるなど、規制の実効性が高まっています。スマートウォッチ、顔認証、AI外観検査カメラといったIoT機器を導入・運用する際は、データを4層に分類したうえで、収集目的の限定、同意取得の設計、委託先・ベンダーガバナンスという3つの実務ラインを、技術導入と同時に整備することが欠かせません。90日を目安にした棚卸し・規程整備・ベンダー管理の順序で着手すれば、大きな投資をせずに基礎的な体制を整えることができます。

工場のIoT機器がどのような個人データを収集しているか棚卸しから始めたい、既存システムのPDPA対応状況を確認したいという場合は、検討の初期段階でもご相談いただけます。TOMAS TECHでは工場のIoT・OTシステム導入支援を通じて、稼働データの活用と個人データ保護の両立を現場目線でサポートしています。新規のIoT機器導入計画がある場合も、選定段階から相談いただくことで、後からの設計手戻りを避けやすくなります。お問い合わせはこちら。

参考情報

• Thailand Introduces Certification Framework for Personal Data Protection Standards – Tilleke & Gibbins
• Enhancing Data Governance under Thailand’s PDPA – Nagashima Ohno & Tsunematsu
• More Than a Warning: Eight Serious Fines Imposed in Thai Data Protection Cases – Tilleke & Gibbins
• Thailand’s PDPC Signals Tougher Enforcement With Multi-Million Baht Fines – Mondaq
• Employer’s Data Obligation Under Thailand’s PDPA – Securiti
• Workplace Privacy: A Case Study on Biometric Technology for Employee Attendance Tracking – Athentic Consulting
• Thailand’s PDPC clarifies data breach notification requirements – IAPP